Merkeziyetsiz Kimlik (DID) Teknolojilerinin KVKK ve e-Devlet Entegrasyonları: Siber Hukuk Boyutunda Bir Analiz

Dijital kimlik sistemleri, modern devlet yönetiminin ve siber ticaretin temel taşıdır. Mevcut altyapıda kullanılan merkezi kimlik modelleri (örneğin e-Devlet kapısı) ile federe kimlik modelleri (Apple/Google ile Giriş yap seçenekleri), kullanıcı verilerinin tek bir sunucuda veya sınırlı sayıda platformda toplanmasına dayanır. Bu durum, veri merkezlerini siber saldırıların odak noktası haline getirirken bireylerin kendi verileri üzerindeki kontrolünü de zayıflatmaktadır. Bu yapısal soruna siber hukuk dünyasının getirdiği en radikal teknolojik alternatif Merkeziyetsiz Kimlik (Decentralized Identity - DID) mimarisidir. Bireye kendi kimlik verilerini kendi dijital cüzdanında saklama ve sadece gerekli kısmını kriptografik olarak kanıtlama imkanı sunan DID teknolojisinin, 6698 sayılı KVKK ve mevcut kamu bilişim (e-Devlet) altyapısına entegrasyonu; egemenlik, veri güvenliği ve hukuki sorumluluk açılarından devrimsel bir analiz gerektirmektedir.

1. Merkeziyetsiz Kimlik (DID) ve “Kendi Kendine Egemen Kimlik” (SSI) Mimarisi

Merkeziyetsiz Kimlik sistemi, W3C (World Wide Web Consortium) standartlarına dayanan, blokzincir ve dağıtık defter teknolojileri (DLT) üzerinden işleyen bir kimlik doğrulama modelidir. Bu modelin temel felsefesi Kendi Kendine Egemen Kimliktir (Self-Sovereign Identity - SSI).

• Veren (Issuer): Kimlik belgesini (diploma, ehliyet, nüfus cüzdanı) dijital ve kriptografik olarak imzalayıp bireye teslim eden otorite (örn. İçişleri Bakanlığı veya Üniversite).
• Tutucu / Sahip (Holder): Bu dijital belgeleri kendi akıllı telefonundaki şifreli cüzdanında saklayan gerçek kişi (birey).
• Doğrulayıcı (Verifier): Bireyin sunduğu kimlik belgesinin doğruluğunu, verenin (issuer) kamuya açık anahtarını blokzincirden kontrol ederek saniyeler içinde onaylayan üçüncü taraf (örn. banka veya sınır kapısı).

Sıfır Bilgi Kanıtı (Zero-Knowledge Proofs - ZKP): DID'nin en güçlü siber hukuk enstrümanı ZKP algoritmalarıdır. Bu teknoloji sayesinde birey, doğrulayıcıya verinin kendisini göstermeden verinin doğru olduğunu kanıtlayabilir. Örneğin bir web sitesine üye olurken doğum tarihini veya T.C. Kimlik numarasını paylaşmak yerine, “18 yaşından büyük olduğunu” kriptografik bir kodla sitenin veritabanına kaydetmeden kanıtlayabilir.

2. KVKK Açısından DID: Veri Sorumlusu ve “Tasarım Yoluyla Mahremiyet” Devrimi

DID mimarisi, KVKK'nın veri minimizasyonu, amaçla sınırlılık ve veri sorumlusu tespiti gibi en zorlayıcı hukuki kalıplarıyla mükemmel bir uyum sergilerken, geleneksel veri koruma rollerini de tersyüz etmektedir.

• Veri Sorumlusunun Ortadan Kalkması (veya Sınırlandırılması): Geleneksel sistemlerde kullanıcı verilerini sunucularında tutan şirketler “Veri Sorumlusu” sıfatıyla fahiş hukuki yükümlülüklere haizdir. DID modelinde ise doğrulayıcı şirketler, kullanıcının verisini kendi sistemlerine kaydetmez; sadece o anlık doğruluğunu test eder. Veri doğrudan kullanıcının cüzdanında (cihazında) durduğu için, şirketlerin veri sızıntısı (data breach) yaşama veya fahiş siber güvenlik maliyetlerine katlanma riski sıfıra iner.
• Veri Minimizasyonu (KVKK m. 4/ç): KVKK, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü veri işlenmesini emreder. DID + ZKP entegrasyonu, amaca hizmet edecek en asgari bilginin paylaşılmasını sağlayarak veri minimizasyonu ilkesini yasal bir zorunluluktan teknik bir otomasyona dönüştürür.
• Unutulma Hakkı Çelişkisinin Çözümü: Blokzincir yapılarında kişisel verilerin silinememesi sorunsalı, DID modelinde yaşanmaz. Çünkü kişisel verinin kendisi (isim, adres vb.) blokzincire asla yazılmaz. Zincir üzerinde sadece kurumların (issuer) açık anahtarları ve kimlik şemaları bulunur. İlgili kişi verisini silmek istediğinde, kendi cüzdanındaki veriyi silmesi yeterlidir; zincir üstünde silinecek bir kişisel veri zaten mevcut değildir.

3. e-Devlet Entegrasyonu: Kamusal Egemenlik ve Dijital Cüzdan Regülasyonu

Türkiye Cumhuriyeti'nin kamu hizmeti vizyonu olan e-Devlet Kapısı, milyarlarca verinin tutulduğu devasa bir merkezi omurgadır. e-Devlet'in DID mimarisine geçişi veya bu mimariyle entegrasyonu, idare hukuku ve siber güvenlik boyutunda stratejik dönüşümler tetikleyecektir:

• Resmi Verici (Issuer) Olarak Devlet: Entegrasyon senaryosunda devlet, veriyi depolayan ve her girişte doğrulayan bir “gardiyan” olmaktan çıkıp; vatandaşa dijital T.C. Kimlik kartını, ikametgahını veya tapusunu kriptografik imzayla teslim eden bir “Merkezi Güven Çıpası” (Root of Trust) haline gelir. Vatandaş bu resmi verileri e-Devlet cüzdanına indirir ve özel sektörle ilişkilerinde devletin sunucularına anlık sorgu atmadan bağımsızca kullanır.
• Hukuki Sorumluluk ve Cihaz Güvenliği: DID modelinde veri sorumluluğu ve güvenliği büyük oranda “Tutucuya” (vatandaşa) geçmektedir. Telefonun çalınması, cüzdan şifresinin/özel anahtarın kaybı gibi durumlarda kamu otoritelerinin Sosyal Kurtarma (Social Recovery) ve Çoklu İmzalı Cüzdan (Multi-Sig) protokolleri geliştirmesi yasal bir zorunluluk olacaktır. Devletin, DID tabanlı dijital cüzdan üreten yazılım şirketlerine yönelik akreditasyon ve siber güvenlik standartları regülasyonu getirmesi gerekecektir.
• Dijital Kimlik Egemenliği: Uluslararası siber hukukta, vatandaşların dijital kimlik verilerinin yabancı teknoloji devlerinin (Google, Apple ID) tekeline bırakılmaması, devletlerin siber egemenlik haklarının bir parçası kabul edilmektedir. Yerli ve milli bir DID e-Devlet altyapısı, Avrupa Birliği'nin güncel eIDAS 2.0 (European Digital Identity Wallet) regülasyonu ile tam uyumlu hibrid bir dijital egemenlik kalkanı oluşturacaktır.

Sonuç

Merkeziyetsiz Kimlik (DID) teknolojileri, kişisel verilerin korunması ve siber güvenlikte “merkezi veri ambarları” dönemini kapatmaya aday devrimsel bir paradigmadır. KVKK'nın ruhunda yer alan bireyin kendi verisi üzerindeki geleceğini tayin etme hakkı, DID mimarisiyle ilk kez eksiksiz bir teknik araca kavuşmaktadır. e-Devlet'in bu merkeziyetsiz dönüşüme adapte edilmesi; devletin regülatif gücünü zayıflatmayacak, aksine kamu veritabanlarını siber taarruz risklerinden izole ederken vatandaşına siber dünyada tam bir veri egemenliği sunacaktır. Siber hukukun yakın gelecekteki misyonu, bu hibrid ağların yasal altyapısını kurmak ve dijital cüzdan ekosistemlerini emniyetli hukuki sınırlara kavuşturmaktır.